Firma używa federacji tożsamości do uwierzytelniania użytkowników na koncie tożsamości (987654321987), gdzie przyjmują rolę IAM o nazwie IdentityRole. Następnie przyjmują rolę IAM o nazwie JobFunctionRole na docelowym koncie AWS (123456789123), aby wykonywać swoje obowiązki. Użytkownik nie może przyjąć roli na koncie docelowym. Rola na koncie tożsamości ma dołączoną politykę IAM (nie pokazano). Jaka zmiana jest wymagana, aby umożliwić użytkownikowi przyjęcie odpowiedniej roli na koncie docelowym?

Poprawna odpowiedź to aktualizacja polityki zaufania roli na koncie docelowym. Aby użytkownik mógł przyjąć rolę (JobFunctionRole) na koncie docelowym (123456789123), polityka zaufania tej roli musi wyraźnie zezwalać na to, aby rola z konta tożsamości (IdentityRole z konta 987654321987) mogła ją przyjąć. Polityka zaufania określa, kto może przyjąć daną rolę. Pozostałe opcje są nieprawidłowe: Aktualizacja polityki IAM dołączonej do roli na koncie tożsamości kontroluje uprawnienia, jakie ma IdentityRole po jej przyjęciu, a nie to, czy może przyjąć inną rolę. Aktualizacja polityki zaufania roli na koncie tożsamości określa, kto może przyjąć IdentityRole, co nie jest problemem w tym scenariuszu. Aktualizacja polityki IAM dołączonej do roli na koncie docelowym określa uprawnienia, jakie JobFunctionRole będzie miała po jej przyjęciu, a nie to, czy można ją przyjąć.